防止XSS的措施包括但不限于对用户输入进行转义、设置Cookie为HttpOnly以及使用CSRF Token等，因此选项D正确。